Microsofts nye Outlook-klient flytter stillegående e-posten din til skyen

Microsoft introduserte nylig en ny versjon av Outlook på Windows-PCer. Den ble designet for å erstatte den aldrende Windows Mail og den klassiske Outlook, så den introduserer en glatt ny design og betydelig tettere skyintegrasjoner mens du kombinerer e-post og kalender til ett app. Den introduserer også nye generative AI-funksjoner, inkludert skrivehjelp og "andre avanserte AI-funksjoner."

Imidlertid introduserer appen også noen alvorlige personvernproblemer. Basert på forskning fra den tyske bloggen heise.de, som vi har vært i stand til å reprodusere på XDA, ser det ut til at den nye Outlook-appen er langt tettere integrert med skyen enn en bruker kan forvente, og åpner opp omfanget av potensielle Microsoft-data samling. Dette representerer et betydelig personvernproblem, så det er mange spørsmål Microsoft må svare på om brukernes forventninger.

Hva du kan forvente av nye Outlook

E-post er fortsatt e-post, ikke sant?

Den nye versjonen av Outlook har vært tilgjengelig siden begynnelsen av september og introduserer en rekke nye funksjoner. Appen inkluderer allerede nye Copilot AI-funksjoner, og Microsoft har uttalt at den har til hensikt at den nye versjonen av Outlook skal erstatte den eksisterende Outlook-appen innen to år. Selskapet har også annonsert en bredere liste over kommende funksjoner, som sannsynligvis vil bli annonsert i løpet av de kommende månedene (spesielt rundt AI-funksjoner). Den nye appen har også et nytt brukergrensesnitt, som bringer den mer i tråd med Microsofts skyversjoner av kontorapper, samt tettere integrasjon med andre Office-tjenester som Kalender og Word.

Den nye versjonen av Outlook er tilgjengelig på Microsoft Store nå som Outlook for Windows. Når installert, appen i startmenyen som Outlook (ny).

Den nye Outlook har problematisk oppførsel

Du skjønner kanskje ikke hva du registrerer deg for

Når du åpner den nye Outlook-klienten for første gang, blir brukeren bedt om å logge på omtrent som alle andre e-postklienter. Hvis du skriver inn en e-postadresse hos en vanlig leverandør, som Gmail eller iCloud, vil klienten bruke en Oauth2-arbeidsflyt for å autentisere med nettleseren din. Hvis du angir et tredjepartsdomene, blir du bedt om et IMAP-passord (hvis det støttes). Alt dette er veldig normalt for en e-postklient.

Men når du er autentisert, blir du presentert med et ufarlig vindu som informerer deg om at du skal bruke den nye versjonen av Outlook, må Microsoft synkronisere e-postene, hendelsene og kontaktene dine med Microsoft Sky. Et kanselleringsalternativ er tilgjengelig, men det er ingen mulighet for å nekte og fortsette å bruke klienten din. EN støttelink er utstyrt med litt mer informasjon, som forklarer at tilgangen muliggjør funksjoner som e-post søk, en fokusert innboks eller gjentakende møter, men gir ingen klar uttalelse om grensene for disse dataene samling.

Ut fra denne advarselen kan en bruker med rimelighet anta at e-postklienten de logger på vil fortsette å fungere som en e-postklient og at klienten kan sende noen begrensede data for behandling i Sky. Det er imidlertid ikke tilfelle. I stedet for at e-postklienten din autentiserer, sendes legitimasjonen din til Microsoft-skyen, som autentiserer på dine vegne. Fra dette tidspunktet blir all behandling (inkludert henting av e-postene dine) håndtert i skyen. Vi kunne ikke observere trafikk som reiste direkte fra klienten til e-postleverandøren vår.

Dette gjelder både OAuth- og IMAP-arbeidsflyter, men er mest synlig ved autentisering med en tredjeparts IMAP-server. I dette tilfellet tar Outlook-klienten IMAP-legitimasjonen fra e-postleverandøren din for å få tilgang til programmet og overfører dem direkte til Microsofts sky over TLS. Vi kunne reprodusere dette ved å sette opp en gjennomsiktig mann-i-midten proxy mellom internett og Outlook-klienten for å avskjære kryptert trafikk. På skjermbildet nedenfor deles og lagres app-passordet vårt generert fra en tredjeparts e-postleverandør direkte med Microsofts servere. Svaret på denne forespørselen er et tilgangs- og oppdateringstoken som brukes til å opprettholde en vedvarende autentisert økt med Microsofts servere.

Er det en e-postklient eller ikke?

Outlook (ny) gjør mindre lokalt enn du kanskje tror

E-postleverandøren vi bruker for dette eksemplet registrerer IP-adressen og tilgangstiden for hver ny pålogging. Hvis Outlook-klienten kommuniserte direkte med e-postserveren vår (dvs. oppførte seg som en klient burde), så bør IP-adressen e-postleverandøren registrerer være den samme som datamaskinen vi kjører Outlook på. I hvert tilfelle vi prøvde dette, ble det ikke registrert noen tilkobling fra hjemme-IP-adressen vår. I stedet kom de første IMAP/SMTP-tilkoblingene fra en 52.x.x.x IP-adresse. Et raskt WHOIS-oppslag viser at denne IP-adressen er registrert hos Microsoft. Dette vil demonstrere at Outlook-"klienten" ikke er noe av den typen, og fungerer utelukkende som en innpakning rundt Microsofts skytjenester og at vår lokale klient faktisk aldri har logget på i det hele tatt.

Outlook-"klienten" er ingenting av den typen, og fungerer utelukkende som en innpakning rundt Microsofts skytjenester.

Det er et klart problem for brukeren her. Ved ganske enkelt å logge på den nye Outlook-klienten, har en bruker effektivt gitt Microsoft Cloud med teppe og ubegrenset tilgang til hele e-postkontoen sin. Microsofts eneste omtale av personvern på den koblede støttesiden er et sett med lenker til personvernerklæringen og tjenesteavtaler, som begge gir generell tilgang til dataene dine for å forbedre Microsoft-produkter og tjenester. I det minste ved autentisering med OAuth2 tilbyr de fleste e-postleverandører en slags personvernsammendrag (ligner på eksemplet fra Google nedenfor). Ved autentisering med IMAP blir en bruker normalt gitt enda mindre advarsel, og de fleste e-postleverandører antar at e-postklienter i det minste fungerer som klienter, ikke inngangsporter til skyen. Det er også viktig å merke seg at det ikke er noen åpenbar måte å avslå denne skyintegreringen når du logger på en e-postkonto eller bruker klienten i en modus med noen AI-funksjoner deaktivert.

Avlastningen av klientfunksjonaliteten til e-post til skyen fjerner også muligheten for sikkerhetsingeniører eller forskere til enkelt å inspisere hva klienten gjør. Det er mulig å spore forespørslene på dataene dine fra Microsoft (selv om det er vanskelig, siden en bruker må kjøre sin egen e-post server med tilgang til loggene), men dette tillater ikke noen indikasjon på hvor mye ekstra behandling, hvis noen, tar plass. Det er også viktig å huske at denne tilgangen pågår. Det er ikke lenger mulig å stoppe Microsofts tilgang til e-postene dine ved å bare lukke Outlook. Brukere kan logge på Outlook på skrivebordet for å teste det ut, bestemme at de ikke liker det, og ganske enkelt slutte å bruke det uten å logge av. Inntil brukeren logger av (eller tilbakekaller økten et annet sted), vil Microsoft beholde løpende tilgang til dataene deres.

Farlige presedenser for data

Skohorning av datainnsamling til lokale kunder kan være et skritt for langt

Datainnsamling er til syvende og sist noe vi alle er vant til, enten vi liker det eller ikke. Imidlertid er mangelen på gjennomsiktig avsløring her fra Microsoft og piggybacking av desktop-apper for å få brukernes data inn i skyen bekymringsfull. Microsofts subtilt aksepterte lisensavtaler tillater nesten ubegrenset datainnsamling for forbedring eller opprettelse av nye Microsoft-verktøy, inkludert bruk av e-postdataene dine til å trene generativ AI eller andre verktøy.

Det er ikke gjort klart på noe tidspunkt at Outlook-skrivebordsappen utelukkende vil fungere som en innpakning skytjenester eller hvilke begrensninger og omstendigheter Microsoft vil få tilgang til dataene dine under Sky. Gitt omfanget av Microsofts push til nye skybaserte AI-integrasjoner og mangelen på sikkerhet ellers er det rimelig å anta at Microsoft kan bruke denne typen data til opplæring eller testing formål.

Mangelen på gjennomsiktig avsløring her fra Microsoft og piggybacking av desktop-apper for å få brukernes data inn i skyen er bekymringsfull.

Dette kan også være et alvorlig problem for bedrifter. En bedriftssluttbruker kan ubevisst gi Microsoft tilgang til store mengder forretningsdata eller kommersielt sensitive data, muligens i strid med regulatoriske eller sikkerhetskrav. Hvis disse dataene deretter ble brukt til å trene generative AI-er eller andre maskinlæringsmodeller som er offentlig utgitt, er det mulig at noen aspekter av disse dataene kan dukke opp for alle å få tilgang til. Dette er et ekstremt scenario, men det er klart hvor bekymringene kan ligge.

Enten du er en superbruker i virksomheten, en systemadministrator som overvåker et nettverk, eller en sluttbruker på utkikk etter en ny e-postklient, er det viktig å vite personvernimplikasjonene ved å logge på Outlook. Mens Microsoft tilbyr en avsløring om at den vil synkronisere data til skyen, tar det langt større friheter enn en bruker med rimelighet ville forvente med omfanget av deres tilgang og klientens rolle ved alle.